CVE-2023-46809
Publiée le 2024-09-07 · Dernière modification le 2026-06-17
Les serveurs Node.js utilisant une version obsolète d'OpenSSL sont vulnérables à une attaque par déchiffrement s'ils prennent en charge une ancienne norme de remplissage RSA (PKCS #1 v1.5). Un attaquant non authentifié disposant d'un accès réseau pourrait potentiellement déchiffrer des données sensibles ou falsifier des signatures numériques en observant un grand nombre de tentatives de déchiffrement. Comme cela nécessite une grande précision et une quantité importante de trafic intercepté, cette attaque est difficile à exécuter en pratique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Node.js versions which bundle an unpatched version of OpenSSL or run against a dynamically linked version of OpenSSL which are unpatched are vulnerable to the Marvin Attack - https://people.redhat.com/~hkario/marvin/, if PCKS #1 v1.5 padding is allowed when performing RSA descryption using a private key.